Section 10.1.7 : RGPD, data privacy et EU AI Act

🎯 Objectif pédagogique

Comprendre les cadres réglementaires majeurs — RGPD et EU AI Act — qui encadrent l'utilisation de l'IA en Europe. Maîtriser les bonnes pratiques de data privacy lorsque vous utilisez des outils IA en entreprise, et savoir évaluer la conformité de vos usages.

Le RGPD et l'IA : un cadre essentiel

Le RGPD (Règlement Général sur la Protection des Données), en vigueur depuis mai 2018, régit la collecte, le traitement et le stockage des données personnelles en Europe. C'est le cadre le plus strict au monde en matière de protection des données, et l'utilisation de l'IA en entreprise soulève des questions RGPD spécifiques et stratégiques.

Les 6 principes RGPD appliqués à l'IA

Principe RGPD	Application à l'IA	Risque si non respecté
Licéité	Base légale pour traiter les données via l'IA (consentement, intérêt légitime...)	Amende + invalidation des traitements
Limitation des finalités	Les données collectées pour un usage ne peuvent pas être réutilisées librement pour un autre	Détournement de finalité
Minimisation	N'envoyer à l'IA que les données strictement nécessaires	Exposition excessive de données
Exactitude	Les données utilisées doivent être à jour et correctes	Décisions basées sur des données erronées
Limitation de conservation	Ne pas conserver les conversations IA contenant des données personnelles indéfiniment	Accumulation non contrôlée
Intégrité et confidentialité	Sécuriser les données envoyées à l'IA	Fuites de données

Problématiques RGPD spécifiques à l'IA

1. Données d'entraînement : les LLM ont été entraînés sur des données contenant potentiellement des données personnelles scrappées du web. En Italie, ChatGPT a été temporairement banni en 2023 pour cette raison. OpenAI a depuis ajouté des mécanismes de suppression de données et un formulaire de "data access request".

2. Prompts et conversations : quand vous envoyez des données clients à ChatGPT, où vont ces données ? Les politiques varient selon le fournisseur et le mode d'utilisation :

Fournisseur	Interface web	API	Entreprise
OpenAI	Données utilisées pour entraînement (opt-out possible)	Pas d'entraînement (par défaut)	Isolation complète (ChatGPT Enterprise)
Anthropic	Données utilisées si feedback donné	Pas d'entraînement (30 jours de rétention sécurité)	Isolation (Claude for Work)
Google	Variable selon paramètres	Pas d'entraînement (Gemini API)	Isolation (Gemini for Workspace)
Microsoft	Données non utilisées (Copilot Pro)	Pas d'entraînement (Azure OpenAI)	Isolation + résidence données UE

3. Droit à l'oubli (Article 17) : comment "supprimer" des données personnelles d'un modèle déjà entraîné ? Techniquement quasi impossible — les poids du modèle ne sont pas indexables par donnée individuelle. Les solutions actuelles : blocage en sortie (le modèle apprend à ne pas répéter certaines données) et ré-entraînement (coûteux).

4. Profilage automatisé (Article 22) : le RGPD encadre strictement les décisions automatisées ayant un impact significatif sur les personnes. Si vous utilisez l'IA pour trier des CV, scorer des dossiers de crédit, ou évaluer des employés, la personne concernée a le droit : d'être informée, de contester la décision, et d'obtenir une intervention humaine.

5. Transferts hors UE : la majorité des fournisseurs IA (OpenAI, Anthropic, Google) ont leurs serveurs aux USA. Les transferts de données personnelles hors UE nécessitent des garanties (Clauses Contractuelles Types, décision d'adéquation). Microsoft Azure et Google Cloud proposent désormais des options de résidence de données en UE.

Bonnes pratiques RGPD + IA : la checklist

#	Risque	Bonne pratique	Priorité
1	Fuite de données personnelles dans les prompts	Anonymiser systématiquement : remplacer noms, emails, téléphones par des pseudonymes avant d'envoyer à l'IA	🔴 Critique
2	Conservation non contrôlée	Utiliser les API avec paramètre "no training" + nettoyer régulièrement l'historique	🔴 Critique
3	Absence de DPA	Signer un Data Processing Agreement (DPA) avec le fournisseur IA avant tout usage professionnel	🔴 Critique
4	Décision automatisée sans contrôle	Toujours prévoir une revue humaine pour les décisions impactant des personnes	🟡 Important
5	Transfert hors UE	Vérifier la localisation des serveurs et utiliser les options de résidence UE si disponibles	🟡 Important
6	Pas de registre de traitement	Documenter les usages IA dans le registre des traitements RGPD de l'entreprise	🟡 Important
7	Employés non formés	Former les équipes aux risques et bonnes pratiques RGPD + IA	🟢 Recommandé

Règle d'or : ne jamais envoyer de données personnelles brutes à l'IA

Avant d'envoyer des données à ChatGPT, Claude ou tout autre LLM :

→Anonymisez les noms → "Client A", "Employé 12"
→Supprimez emails, téléphones, adresses, numéros de sécurité sociale
→Pseudonymisez les identifiants internes (remplacer par des codes)
→Agrégez les données sensibles (moyennes au lieu de valeurs individuelles)
→Vérifiez avant d'envoyer : "Si ce prompt fuitait, serait-ce un problème ?"

Pour un usage intensif en entreprise, privilégiez les versions Enterprise (ChatGPT Enterprise, Claude for Work, Azure OpenAI) qui garantissent l'isolation des données.

L'EU AI Act : le premier cadre réglementaire mondial

L'EU AI Act, adopté en mars 2024, est le premier cadre juridique complet au monde régissant l'intelligence artificielle. Il ne régule pas l'IA en tant que technologie mais en fonction de son usage et de son niveau de risque. C'est une approche "risk-based" qui vise à protéger les droits fondamentaux tout en permettant l'innovation.

Les 4 niveaux de risque de l'AI Act

Loading diagram…

Risque inacceptable (INTERDIT) :

→Scoring social : classer les citoyens par leur comportement (type "crédit social" chinois)
→Manipulation subliminale : techniques IA pour manipuler le comportement d'une personne à son insu
→Exploitation de vulnérabilités : cibler les personnes vulnérables (enfants, personnes handicapées)
→Identification biométrique en temps réel dans les espaces publics (avec exceptions pour la sécurité nationale)
→Scraping non ciblé d'images faciales pour constituer des bases de reconnaissance faciale

Haut risque (réglementation stricte) :

→Recrutement : tri de CV, scoring de candidats, entretiens automatisés
→Scoring crédit : évaluation de solvabilité basée sur l'IA
→Justice : aide à la décision judiciaire, évaluation des risques de récidive
→Éducation : notation automatisée, orientation scolaire IA
→Santé : aide au diagnostic, dispositifs médicaux IA
→Infrastructure critique : gestion de réseaux d'eau, d'énergie, de transport

Obligations pour les systèmes à haut risque :

→Évaluation de conformité ex ante
→Documentation technique détaillée
→Supervision humaine obligatoire
→Traçabilité des décisions (logs)
→Gestion des risques de biais
→Robustesse et cybersécurité
→Transparence envers les utilisateurs

Risque limité (transparence) :

→Chatbots : informer l'utilisateur qu'il interagit avec une IA
→Deepfakes : étiqueter clairement les contenus comme générés par IA
→Contenu IA : rendre identifiable tout contenu texte, image ou vidéo généré par IA

Risque minimal (pas de régulation) :

→Filtres spam, jeux vidéo, assistants d'écriture, recommandations de contenu, traduction automatique

Obligations pour les modèles fondationnels (GPAI)

L'AI Act introduit également des obligations spécifiques pour les modèles à usage général (General Purpose AI — GPAI) comme GPT-5, Claude 4.6, Gemini 3.1, Llama 4 :

Obligation	Tous les GPAI	GPAI "systémiques" (> 10²⁵ FLOPS)
Documentation technique	✅	✅
Politique de respect du droit d'auteur	✅	✅
Résumé des données d'entraînement	✅	✅
Évaluation des risques systémiques	❌	✅
Red teaming adversarial	❌	✅
Suivi et rapport d'incidents	❌	✅
Mesures de cybersécurité renforcées	❌	✅

Calendrier d'application

Date	Obligation	Impact
Février 2025	Interdiction des IA à risque inacceptable	Scoring social, manipulation → illégaux
Août 2025	Obligations sur les modèles fondationnels (GPAI)	OpenAI, Anthropic, Google, Meta doivent documenter
Août 2026	Règles complètes sur les systèmes à haut risque	Recrutement IA, scoring crédit → conformité obligatoire
Août 2027	Application intégrale	Toutes les dispositions en vigueur

Implications pratiques pour les entreprises

Toute entreprise utilisant l'IA en Europe doit :

→Cartographier ses usages IA et les classer par niveau de risque
→Documenter les systèmes à haut risque (data, modèle, décisions)
→Garantir la supervision humaine sur les décisions automatisées
→Informer les utilisateurs quand ils interagissent avec une IA
→Prévoir des mécanismes de recours pour les personnes affectées
→Former les équipes aux obligations réglementaires
→Désigner un responsable IA (comme le DPO pour le RGPD)

L'AI Act ne tue pas l'innovation

Contrairement aux craintes initiales, l'AI Act a été conçu pour être proportionnel au risque. La grande majorité des usages IA en entreprise (assistants d'écriture, chatbots, analyse de données, création de contenu) tombent dans la catégorie "risque minimal" → aucune obligation spécifique. Ce sont les usages sensibles (recrutement, crédit, justice, santé) qui nécessitent une conformité stricte — ce qui est logique.

Exercice pratique : Audit de conformité express

Durée : 15 minutes

→Listez tous les outils IA que vous utilisez au travail
→Pour chacun, identifiez : les données envoyées, le fournisseur, la localisation des serveurs
→Classez chaque usage selon les 4 niveaux de risque de l'AI Act
→Identifiez les 3 actions prioritaires pour améliorer votre conformité

Vérification rapide

Selon l'AI Act, quel facteur détermine le niveau de régulation d'un système IA ?